2018'de piyasaya sürülen WPA3, kablosuz ağları korumak için Wi-Fi Korumalı Erişim protokolünün güncellenmiş ve daha güvenli bir sürümüdür. Tarif ettiğimiz gibi
Bir aygıt parola korumalı bir Wi-Fi ağında oturum açmaya çalıştığında, parola sağlama ve doğrulama adımları 4 yönlü bir el sıkışma ile gerçekleştirilir. WPA2'de protokolün bu kısmı KRACK saldırılarına karşı savunmasızdı:
Anahtar yeniden yükleme saldırısında [KRACK], düşman bir kurbanı zaten kullanımda olan bir anahtarı yeniden yüklemeye kandırır. Bu, kriptografik el sıkışma mesajlarını manipüle ederek ve tekrarlayarak elde edilir. Kurban anahtarı yeniden yüklediğinde, artımlı gönderme paket numarası (örn. Nonce) ve alma paket numarası (yani tekrar sayacı) gibi ilişkili parametreler başlangıç değerlerine sıfırlanır. Temel olarak, güvenliği garanti etmek için bir anahtar yalnızca bir kez kurulmalı ve kullanılmalıdır.
KRACK güvenlik açıklarına karşı hafifletmek için WPA2 güncellemelerinde bile, WPA2-PSK yine de kırılabilir. WPA2-PSK şifrelerini hacklemek için nasıl yapılır kılavuzları bile var.
WPA3, bu güvenlik açığını giderir ve Dragonfly Anahtar Değişimi olarak da bilinen bir Wi-Fi ağına eşzamanlı Eşitleme Doğrulaması için farklı bir el sıkışma mekanizması kullanarak diğer sorunları azaltır..
WPA3'ün, kendisi bu videoda açıklanan SPEKE (Basit Şifre Üstel Anahtar Değişimi) varyasyonu olan Yusufçuk anahtar değişimini nasıl kullandığına ilişkin teknik ayrıntılar.
Dragonfly anahtar değişiminin avantajları ileri gizlilik ve çevrimdışı şifre çözmeye karşı direnç.
WPA2 protokolünün bir güvenlik açığı, saldırganın parolayı tahmin etmek için ağa bağlı kalması gerekmemesidir. Saldırgan, ağın yakınındayken WPA2 tabanlı bir ilk bağlantının 4 yönlü el sıkışmasını koklayabilir ve yakalayabilir. Bu yakalanan trafik daha sonra şifreyi tahmin etmek için sözlük tabanlı bir saldırıda çevrimdışı olarak kullanılabilir. Bu, şifre zayıfsa kolayca kırılabilir olduğu anlamına gelir. Aslında, WPA2 ağları için 16 karaktere kadar alfasayısal şifreler oldukça hızlı bir şekilde kırılabilir.
WPA3, Dragonfly Key Exchange sistemini kullanır, böylece sözlük saldırılarına karşı dayanıklıdır. Bu, aşağıdaki gibi tanımlanır:
Sözlük saldırısına karşı direniş, bir düşmanın kazanabileceği herhangi bir avantajın, hesaplama yoluyla değil, dürüst bir protokol katılımcısıyla yaptığı etkileşim sayısıyla doğrudan ilişkili olması gerektiği anlamına gelir. Düşman, bir protokol çalışmasından tek bir tahminin doğru veya yanlış olması dışında şifre hakkında herhangi bir bilgi alamaz..
WPA3'ün bu özelliği, ağ şifresinin, yani önceden paylaşılan anahtarın (PSDK) önerilen karmaşıklıktan daha zayıf olduğu ağları korur.
Kablosuz ağ iletişimi, bir istemci cihaz (örn. Telefon veya dizüstü bilgisayar) ile kablosuz erişim noktası (yönlendirici) arasında bilgi (veri paketleri) iletmek için bir radyo sinyali kullanır. Bu radyo sinyalleri açık bir şekilde yayınlanır ve çevredeki herkes tarafından yakalanabilir veya "alınabilir". Kablosuz ağ WPA2 veya WPA3 olsun bir şifre ile korunuyorsa, sinyaller şifrelenir, böylece sinyalleri yakalayan üçüncü taraf verileri anlayamaz.
Ancak, bir saldırgan yakaladığı tüm bu verileri kaydedebilir. Ve gelecekte şifreyi tahmin edebiliyorlarsa (yukarıda gördüğümüz gibi WPA2'ye bir sözlük saldırısı ile mümkündür), o ağda geçmişte kaydedilen veri trafiğinin şifresini çözmek için anahtarı kullanabilirler.
WPA3 ileri gizlilik sağlar. Protokol, ağ şifresi ile bile, bir dinleyicinin erişim noktası ile farklı bir istemci cihaz arasındaki trafiği gözetlemesinin imkansız olduğu şekilde tasarlanmıştır..
Bu teknik incelemede (RFC 8110) açıklanan Fırsatçı Kablosuz Şifreleme (OWE), WPA3'te sıcak noktalarda ve genel ağlarda yaygın olarak kullanılan 802.11 “açık” kimlik doğrulamanın yerini alan yeni bir özelliktir.
Bu YouTube videosu OWE hakkında teknik bir genel bakış sunar. Ana fikir, bir cihaz ile bir erişim noktası (yönlendirici) arasındaki tüm iletişimi şifrelemek için bir Diffie-Hellman anahtar değişim mekanizması kullanmaktır. İletişimin şifre çözme anahtarı, erişim noktasına bağlanan her istemci için farklıdır. Böylece ağdaki diğer cihazların hiçbiri, onu dinleseler bile (bu koklama olarak adlandırılır) bu iletişimin şifresini çözemez. Bu faydanın adı Kişiselleştirilmiş Veri Koruması-bir istemci ve erişim noktası arasındaki veri trafiği "bireyselleştirilir"; diğer müşteriler bu trafiği koklayıp kaydedebilirken, şifresini çözemezler.
OWE'nin en büyük avantajı, sadece bağlanmak için şifre gerektiren ağları değil; ayrıca şifre gereksinimi olmayan açık "güvenli olmayan" ağları da korur, ör. kütüphanelerde kablosuz ağlar. OWE, bu ağlara kimlik doğrulama olmadan şifreleme sağlar. Hiçbir provizyon, müzakere ve kimlik bilgisi gerekmez - sadece kullanıcı bir şey yapmak zorunda kalmadan ve hatta göz atmanın artık daha güvenli olduğunu bilmeden çalışır.
Bir uyarı: OWE, kullanıcıyı onlarla bağlantı kurması ve bilgi çalması için kandırmaya çalışan bal küpü AP'ler veya kötü ikizler gibi "haydut" erişim noktalarına (AP'ler) karşı koruma sağlamaz.
Başka bir uyarı, WPA3'ün kimliği doğrulanmamış şifrelemeyi desteklemesi ancak zorunlu kılmamasıdır. Üreticinin WPA3 etiketini kimliği doğrulanmamış şifreleme uygulamadan alması mümkündür. Özellik artık Wi-Fi CERTIFIED Gelişmiş Açık olarak adlandırılıyor, böylece satın aldıkları cihazın kimliği doğrulanmamış şifrelemeyi desteklediğinden emin olmak için alıcıların WPA3 etiketine ek olarak bu etiketi aramaları gerekiyor.
Wi-Fi Aygıt Hazırlama Protokolü (DPP), daha az güvenli olan Wi-Fi Korumalı Kurulumun (WPS) yerini alır. Ev otomasyonundaki veya Nesnelerin İnterneti (IoT) içindeki birçok cihazın şifre girişi için bir arayüzü yoktur ve Wi-Fi kurulumlarına aracılık etmek için akıllı telefonlara güvenmesi gerekir.
Buradaki uyarı, Wi-Fi Alliance'ın WPA3 sertifikası almak için bu özelliği zorunlu kılmamasıdır. Bu yüzden teknik olarak WPA3'ün bir parçası değildir. Bunun yerine, bu özellik artık Wi-Fi CERTIFIED Easy Connect programının bir parçasıdır. WPA3 sertifikalı donanım satın almadan önce bu etikete bakın.
DPP, cihazların QR kodu veya NFC (Yakın alan iletişimi, Apple Pay veya Android Pay'da kablosuz işlemlere güç veren aynı teknoloji) kullanılarak Wi-Fi ağında şifre olmadan kimlik doğrulamasına izin verir.
Wi-Fi Korumalı Kurulum (WPS) ile, şifre telefonunuzdan IoT cihazına iletilir ve daha sonra Wi-Fi ağında kimlik doğrulaması yapmak için şifreyi kullanır. Ancak yeni Cihaz Hazırlama Protokolü (DPP) ile, cihazlar şifre olmadan karşılıklı kimlik doğrulama gerçekleştirir.
Çoğu WPA2 uygulaması 128 bit AES şifreleme anahtarları kullanır. IEEE 802.11i standardı 256 bit şifreleme anahtarlarını da destekler. WPA3'te, daha uzun anahtar boyutları (192 bit güvenlik eşdeğeri) yalnızca WPA3-Enterprise için zorunludur.
WPA3-Enterprise, ev ağları için tipik olan bir parola (önceden paylaşılan anahtar olarak da bilinir) yerine kablosuz ağa bağlanmak için bir kullanıcı adı ve parola kullanan kurumsal kimlik doğrulaması anlamına gelir.
Tüketici uygulamaları için, WPA3 için sertifika standardı daha uzun anahtar boyutlarını isteğe bağlı hale getirmiştir. Bazı üreticiler artık protokol tarafından desteklendikleri için daha uzun anahtar boyutları kullanacaklar, ancak bu, bir yönlendirici / erişim noktası seçmek için tüketicilerin üzerinde olacak.
Yukarıda açıklandığı gibi, yıllar içinde WPA2, yamaların mevcut olduğu, ancak tüm yönlendiriciler için bulunmayan ve kullanıcılar tarafından yaygın bir şekilde dağıtılamadığı, yazılım güncellemesi gerektirdiği için rezil KRACK tekniği de dahil olmak üzere çeşitli saldırı biçimlerine karşı savunmasız hale gelmiştir..
Ağustos 2018'de, WPA2 için başka bir saldırı vektörü daha keşfedildi.[1] Bu, WPA2 el sıkışmalarını koklayan bir saldırganın önceden paylaşılan anahtarın (parola) karmasını almasını kolaylaştırır. Saldırgan daha sonra bu karmayı, yaygın olarak kullanılan parolaların bir listesinin karmalarıyla veya değişen uzunluktaki harflerin ve sayıların her olası varyasyonunu deneyen tahminlerin bir listesiyle karşılaştırmak için bir kaba kuvvet tekniği kullanabilir. Bulut bilgi işlem kaynaklarını kullanarak, 16 karakterden daha kısa bir parola tahmin etmek önemsizdir.
Kısacası, WPA2 güvenliği kırılmış kadar iyidir, ancak yalnızca WPA2-Kişisel için. WPA2-Enterprise çok daha dayanıklıdır. WPA3 yaygın bir şekilde kullanılabilir olana kadar, WPA2 ağınız için güçlü bir şifre kullanın.
2018'deki tanıtımından sonra, desteğin ana akım haline gelmesi 12-18 ay sürmesi bekleniyor. WPA3'ü destekleyen bir kablosuz yönlendiriciniz olsa bile, eski telefonunuz veya tabletiniz WPA3 için gerekli yazılım yükseltmelerini almayabilir. Bu durumda, erişim noktası WPA2'ye geri döner, böylece yönlendiriciye hala bağlanabilirsiniz - ancak WPA3'ün avantajları olmadan.
2-3 yıl içinde, WPA3 yaygınlaşacak ve şimdi yönlendirici donanımı satın alıyorsanız, satın alımlarınızı geleceğe kanıtlamanız tavsiye edilir.